Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

bilden24
c/o POSTFLEX PFX-344-253
Emsdettener Straße 10
48268 Greven
Deutschland
Inhaber: Maximilian Ostermeier
Telefon: +49 152 03944786
E-Mail: kontakt@bilden24.com

Einen Datenschutzbeauftragten haben wir nicht bestellt; die gesetzlichen Voraussetzungen des § 38 BDSG liegen bei uns derzeit nicht vor. Für alle Anliegen zum Datenschutz erreichen Sie uns unter der oben genannten Adresse.

2. Ihre Rechte

Sie haben uns gegenüber jederzeit das Recht:

• Auskunft über die zu Ihrer Person gespeicherten Daten zu verlangen (Art. 15 DSGVO)
• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten zu verlangen (Art. 16 DSGVO)
• Löschung Ihrer Daten zu verlangen (Art. 17 DSGVO)
• Einschränkung der Verarbeitung zu verlangen (Art. 18 DSGVO)
• Datenübertragbarkeit zu verlangen, also die Herausgabe Ihrer Daten in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO)
• eine erteilte Einwilligung zu widerrufen, mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Auskunft und Datenübertragbarkeit können Sie in Ihrem Konto unter „Einstellungen“ selbst auslösen: Wir stellen Ihnen dort einen vollständigen Datenexport als Archiv bereit. Aus Gründen der Missbrauchsvermeidung ist der Export auf eine Anforderung alle 7 Tage begrenzt; darüber hinausgehende Anträge erfüllen wir selbstverständlich auf Anfrage. Ihr Konto können Sie dort ebenfalls selbst löschen.

Widerspruchsrecht nach Art. 21 DSGVO

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die aufgrund von Art. 6 Abs. 1 lit. f DSGVO erfolgt, Widerspruch einzulegen. Wir verarbeiten die betroffenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Werden Ihre Daten verarbeitet, um Direktwerbung zu betreiben, haben Sie das Recht, jederzeit und ohne Angabe von Gründen Widerspruch einzulegen. Nach einem solchen Widerspruch verwenden wir Ihre Daten nicht mehr zu Werbezwecken.

Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere im Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
https://www.lda.bayern.de

3. Grundsätze

Rechtsgrundlagen

Wir stützen die Verarbeitung Ihrer Daten auf:

• Art. 6 Abs. 1 lit. a DSGVO — Ihre Einwilligung, etwa bei Marketing-Cookies und beim Newsletter
• Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Vertrags oder vorvertragliche Maßnahmen, etwa Konto, Kurszugang, Zahlung
• Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Pflichten, etwa handels- und steuerrechtliche Aufbewahrung
• Art. 6 Abs. 1 lit. f DSGVO — unsere berechtigten Interessen, etwa Sicherheit, Missbrauchsabwehr und Stabilität des Angebots

Für das Speichern von Informationen auf Ihrem Endgerät und den Zugriff darauf gilt zusätzlich § 25 TDDDG (bis Mai 2024: TTDSG).

Verschlüsselung

Diese Website nutzt durchgehend eine TLS-Verschlüsselung. Passwörter speichern wir ausschließlich als kryptografischen Hash, niemals im Klartext.

Übermittlung in Drittländer

Einige der von uns eingesetzten Dienstleister verarbeiten Daten in den USA. Das betrifft insbesondere die KI-Anbieter für den Lern-Tutor und die Vorsortierung von Kundenanfragen, den Versanddienstleister für E-Mails, den Anbieter des Spam-Schutzes unserer Formulare sowie — nur mit Ihrer Einwilligung — Google, Meta und TikTok für die Werbemessung (siehe Abschnitt 5). Die Übermittlung erfolgt auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission (EU-US Data Privacy Framework), soweit der jeweilige Anbieter danach zertifiziert ist, und im Übrigen auf Grundlage von Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO in Verbindung mit ergänzenden Schutzmaßnahmen.

Wir weisen darauf hin, dass in den USA kein dem europäischen Recht vollständig gleichwertiges Datenschutzniveau besteht und insbesondere ein Zugriff staatlicher Stellen nicht in gleichem Maße ausgeschlossen werden kann.

4. Datenverarbeitung im Einzelnen

4.1 Bereitstellung der Website und Server-Protokolle

Beim Aufruf unserer Seiten übermittelt Ihr Browser automatisch Daten, die wir in Protokolldateien speichern: Browsertyp und -version, Betriebssystem, Referrer-URL, Hostname des zugreifenden Rechners, Uhrzeit der Anfrage und IP-Adresse. Die Verarbeitung dient dem sicheren, stabilen Betrieb und der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Eine Zusammenführung mit anderen Datenquellen findet nicht statt.

4.2 Hosting

Unsere Anwendung und Datenbank betreiben wir bei Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern. Der Anbieter verarbeitet die vorgenannten Daten ausschließlich in unserem Auftrag und nach unseren Weisungen; es besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Die Server stehen in der Europäischen Union.

4.3 Cookies und ähnliche Technologien

Wir setzen Cookies sparsam ein. Technisch notwendige Cookies sind für den Betrieb erforderlich und werden ohne Einwilligung gesetzt (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO). Alle übrigen Cookies setzen wir ausschließlich nach Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).

• Sitzungs-Cookie der Anmeldung — hält Sie eingeloggt. Notwendig. Läuft mit der Sitzung bzw. der Anmeldedauer ab.
• b24_consent — speichert Ihre Cookie-Entscheidung, damit wir Sie nicht erneut fragen, und eine zufällig erzeugte Kennung dieser Entscheidung, über die wir sie nachweisen können (siehe 6). Notwendig. Laufzeit 365 Tage.
• b24_attr — speichert die Herkunft Ihres ersten Besuchs (siehe 4.4). Nur mit Einwilligung. Laufzeit 90 Tage.
• b24_ref — merkt sich den Empfehlungscode, wenn Sie über den Empfehlungslink einer anderen Person zu uns gekommen sind, damit der Rabatt bei einer späteren Registrierung oder einem Kauf ohne Konto greift (siehe 4.19). Notwendig für diese von Ihnen gewählte Funktion. Laufzeit 30 Tage.
• Registrierungs-Cookie — weist während einer begonnenen Registrierung nach, dass die angefangene Anmeldung zu diesem Browser gehört, damit niemand anderes Ihre Angaben weiterführen kann. Notwendig. Laufzeit 24 Stunden.
• b24_kasse (Kassen-Nachweis) — weist nach einem Kauf ohne Konto nach, dass die Bestätigungsseite zu Ihrem Kaufvorgang gehört. Nur dann zeigen wir dort den Stand Ihres Kaufs und melden Sie einmalig an (siehe 4.5). Notwendig. Laufzeit 60 Minuten, nur für diesen Kauf.
• b24_login (Anmelde-Nachweis) — verbindet eine angeforderte Anmeldung per Link mit dem Browser, in dem Sie sie begonnen haben. Nur dort meldet der Link Sie direkt an, und nur dort lässt sich der Code eingeben. Notwendig. Laufzeit 10 Minuten, so lange wie der Link.
• Warenkorb und Merkliste ohne Anmeldung — speichern die ausgewählten Kurse und einen eingegebenen Gutscheincode im Speicher Ihres Browsers, nicht als Cookie. Für Preise und Kasse schicken wir diese Angaben an unseren Server. Melden Sie sich an, übernehmen wir die Kurse in Ihr Konto und löschen sie aus dem Browser. Notwendig.
• Google-Ads-Cookies (Namen beginnen mit „_gcl_“, etwa _gcl_au und _gcl_aw) — gesetzt vom Google-Tag, um einen Klick auf unsere Google-Anzeige einem späteren Kauf zuordnen zu können (siehe 4.4). Nur mit Einwilligung. Laufzeit bis zu 90 Tage.
• Google-Analytics-Cookies (Namen beginnen mit „_ga“, etwa _ga und _ga_<Kennung>) — gesetzt vom Google-Tag, um wiederkehrende Besuche einer pseudonymen Kennung zuzuordnen und so Besucherzahlen und Seitenaufrufe auswerten zu können (siehe 4.4). Nur mit Einwilligung. Laufzeit bis zu 2 Jahre.
• Google-Werbe-Cookie (etwa IDE, auf der Domain doubleclick.net) — kann Google setzen, wenn Google Analytics Besucher für Zielgruppen in unserem Google-Ads-Konto vormerkt (siehe 4.4). Nur mit Einwilligung. Laufzeit bis zu 13 Monate.
• Meta-Cookies (_fbp und, wenn Sie über eine Meta-Anzeige zu uns gekommen sind, _fbc) — gesetzt vom Meta-Pixel als Cookies unserer eigenen Domain. Ist das Meta-Pixel beim Start der Kasse noch nicht geladen, setzt unser Server dieselben Cookies im selben Format. _fbp enthält eine zufällig erzeugte Kennung für Ihren Browser, _fbc die Klick-Kennung der Anzeige, über die Sie gekommen sind (siehe 4.4). Nur mit Einwilligung. Laufzeit bis zu 90 Tage.
• TikTok-Cookies (_ttp und, wenn Sie über eine TikTok-Anzeige zu uns gekommen sind, ttclid) — gesetzt vom TikTok-Pixel als Cookies unserer eigenen Domain. _ttp enthält eine zufällig erzeugte Kennung für Ihren Browser, ttclid die Klick-Kennung der Anzeige, über die Sie gekommen sind (siehe 4.4). Nur mit Einwilligung. Laufzeit bis zu 13 Monate.
• Sicherheits-Cookies (Schutz vor Formular-Missbrauch) — notwendig, Laufzeit auf die Sitzung begrenzt.

Im Cookie-Hinweis entscheiden Sie über „Anpassen“ für jeden einwilligungspflichtigen Dienst einzeln. Die Dienste sind nach ihrem Zweck eingeteilt: „Statistik“ (Google Analytics) und „Marketing“ (Google Ads, Meta-Pixel, TikTok-Pixel und die Speicherung der Herkunft Ihres ersten Besuchs). Eine Einwilligung gilt nur für den Dienst, dem Sie zugestimmt haben; auch die unter 4.4 beschriebenen Meldungen von unserem Server gehen nur an die Empfänger, die Sie erlaubt haben.

Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen“ am Seitenende ändern oder widerrufen. Lehnen Sie einen Dienst ab, löschen wir zugleich seine Cookies auf unserer Domain. Cookies auf fremden Domains, etwa das Google-Werbe-Cookie auf doubleclick.net, können wir nicht löschen; das geht nur in Ihrem Browser.

4.4 Kampagnen-Messung und Kauf-Meldungen

Sofern Sie dem Dienst „Herkunft des ersten Besuchs“ zugestimmt haben (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), speichern wir beim ersten Besuch über eine Werbekampagne die Kampagnen-Kennungen aus der Aufruf-Adresse (z. B. utm-Parameter, Google-Klick-ID „gclid“, auf Apple-Geräten und in Apps stattdessen „gbraid“ oder „wbraid“, Meta-Klick-ID „fbclid“, TikTok-Klick-ID „ttclid“), den Verweis auf die vorherige Seite und die Einstiegsseite für 90 Tage in einem Cookie. Registrieren Sie sich oder entsteht Ihr Konto aus einem Kauf, wird diese Herkunftsangabe zusätzlich an Ihrem Konto gespeichert, um die Wirksamkeit unserer Kanäle auswerten zu können. Aus demselben Grund halten wir sie beim Start der Kasse auch am Kaufvorgang fest.

Beim Start der Kasse und bei einem Kauf ordnen wir den Vorgang dem Werbekanal zu und übermitteln ein Ereignis serverseitig an Meta Platforms Ireland Ltd., 4 Grand Canal Square, Dublin 2, Irland (Conversions API) sowie an Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland (Google Analytics 4; pseudonyme Kennung). An Meta gehen dabei Ihre E-Mail-Adresse, Ihr Vor- und Nachname sowie Ihr Geburtsdatum aus Ihrem Konto und — soweit Sie sie beim Bezahlen angegeben haben — Telefonnummer, Ort, Postleitzahl und Land ausschließlich als SHA-256-Hashwert, außerdem Ihre IP-Adresse, die Kennung Ihres Browsers, die Adresse der Seite, von der aus Sie die Kasse gestartet haben, und die unter 4.3 genannten Meta-Cookies. Meta verwendet diese Angaben nur, um das Ereignis einem Nutzerkonto und einer Anzeige zuzuordnen. Starten Sie die Kasse ohne Konto, fehlen dabei die Angaben aus einem Konto. Entsteht Ihr Konto erst mit dem Kauf, senden wir die Kauf-Meldungen einige Minuten später. So kann an Meta das Geburtsdatum mitgehen, das Sie nach dem Kauf in das Formular eintragen; fehlt es dann noch, geht die Meldung ohne Geburtsdatum. IP-Adresse, Browserkennung, Cookies und Seitenadresse halten wir beim Start der Kasse fest und speichern sie bei dem Kaufvorgang nur so lange, bis das Kauf-Ereignis übermittelt ist; bei einem abgebrochenen Kassenvorgang löschen wir sie mit dessen Aufräumen, spätestens mit der Löschung Ihres Kontos. Brechen Sie eine Kasse ohne Konto ab, löschen wir diese Angaben ebenfalls mit dem Aufräumen des Kassenvorgangs. An Meta geht das Ereignis nur, wenn Sie dem Dienst „Meta-Pixel“ zugestimmt haben, an Google Analytics nur mit Ihrer Zustimmung zu „Google Analytics“. IP-Adresse, Browserkennung, Cookies und Seitenadresse halten wir nur fest, wenn Sie „Meta-Pixel“, „Google Ads“ oder „TikTok-Pixel“ erlaubt haben; ohne Ihre Einwilligung findet weder die Speicherung noch eine Übermittlung statt. Mit Ihrer Zustimmung zu „Google Analytics“ halten wir beim Start der Kasse außerdem die Kennung aus dem unter 4.3 genannten Google-Analytics-Cookie und die Kennung Ihrer laufenden Sitzung fest und übermitteln beide mit dem Ereignis an Google Analytics, damit es Ihrem Besuch zugeordnet wird. Für diese beiden Kennungen gilt dieselbe Speicherdauer wie für IP-Adresse, Browserkennung, Cookies und Seitenadresse. Wird ein Kauf ganz oder teilweise erstattet, melden wir Google Analytics mit derselben Einwilligung außerdem die Bestellnummer, den erstatteten Betrag und die Währung, bei einer vollständigen Erstattung auch die gekauften Kurse.

Haben Sie dem Dienst „TikTok-Pixel“ zugestimmt, übermitteln wir beim Start der Kasse und bei einem Kauf außerdem ein Ereignis serverseitig an TikTok Technology Limited, 10 Earlsfort Terrace, Dublin 2, Irland (Events API). Dabei gehen Ihre E-Mail-Adresse und Ihre Konto-Kennung sowie — soweit beim Bezahlen angegeben — Ihre Telefonnummer ausschließlich als SHA-256-Hashwert mit, außerdem Ihre IP-Adresse, die Kennung Ihres Browsers, die Adresse der Seite, von der aus Sie die Kasse gestartet haben, und die unter 4.3 genannten TikTok-Cookies. TikTok verwendet diese Angaben nur, um das Ereignis einem Nutzerkonto und einer Anzeige zuzuordnen. Die TikTok-Cookies halten wir beim Start der Kasse nur mit dieser Einwilligung fest; für sie gilt dieselbe Speicherdauer wie für IP-Adresse, Browserkennung und Seitenadresse.

Zusätzlich binden wir mit Ihrer Einwilligung das „Google-Tag“ (gtag.js) von Google Ireland Ltd. in unsere Seiten ein, um Käufe zu messen, die auf eine Google-Ads-Anzeige zurückgehen (Google Ads Conversion-Tracking). Das Tag wird erst geladen, nachdem Sie „Google Ads“ oder „Google Analytics“ erlaubt haben; bis dahin stehen alle Einwilligungssignale an Google („Consent Mode“) auf „abgelehnt“, und es werden keine Daten an Google übertragen. Die Signale für Werbung schaltet das Tag nur mit Ihrer Einwilligung in „Google Ads“ frei, das Signal für die Reichweitenmessung nur mit Ihrer Einwilligung in „Google Analytics“. Mit Ihrer Einwilligung setzt das Tag die unter 4.3 genannten Cookies, übermittelt beim Seitenaufruf Ihre IP-Adresse, Browserangaben und die aufgerufene Seite an Google, meldet beim Wechsel zur Kasse, dass die Kasse aufgerufen wurde (ohne Kunden-, Bestell- oder Betragsangaben), und nach einem Kauf die Bestellnummer, den Betrag und die Währung. Damit Google den Kauf dem Anzeigenklick auch ohne Cookies zuordnen kann („verbesserte Conversions“), übermitteln wir dabei Ihre E-Mail-Adresse als SHA-256-Hashwert. Haben Sie in der Kasse eine Rechnungsanschrift angegeben, übermitteln wir zusätzlich Ihren Vor- und Nachnamen als SHA-256-Hashwert sowie Postleitzahl und Land; diese beiden Angaben unverschlüsselt, weil Google sie nur in dieser Form annimmt. Diese vier Angaben gehen nur gemeinsam an Google; fehlt eine davon, übermitteln wir allein die E-Mail-Adresse. Google verwendet diese Angaben nur zum Abgleich mit eigenen Nutzerkonten. Google kann diese Daten an Google LLC in den USA übermitteln (siehe Abschnitt 3). Ihre Einwilligung können Sie jederzeit über „Cookie-Einstellungen“ am Seitenende widerrufen; das Tag stellt die Übertragung für Google Ads dann ein und wird beim nächsten Seitenaufruf nur noch geladen, wenn Sie „Google Analytics“ weiter erlauben. Weitere Informationen finden Sie in der Datenschutzerklärung von Google unter policies.google.com/privacy.

Weil die Meldung aus dem Browser nicht in jedem Fall ankommt — etwa wenn Sie die Bestätigungsseite nach dem Bezahlen sofort verlassen oder ein Werbeblocker das Google-Tag unterdrückt —, übermitteln wir einen Kauf mit Ihrer Einwilligung zusätzlich von unserem Server an Google Ireland Ltd. (Google Ads, „Data Manager API“). Dabei gehen die Bestellnummer, der Betrag, die Währung und der Zeitpunkt des Kaufs an Google, außerdem die oben genannte Google-Klick-ID, sofern Sie über eine Google-Anzeige zu uns gekommen sind. Ihre E-Mail-Adresse aus dem Konto und eine davon abweichende E-Mail-Adresse, die Sie beim Bezahlen angegeben haben, übermitteln wir als SHA-256-Hashwert, ebenso Ihren Vor- und Nachnamen; Postleitzahl und Land übermitteln wir unverschlüsselt. Name, Postleitzahl und Land gehen wie oben nur gemeinsam an Google. Hinzu kommen Ihre IP-Adresse und die Kennung Ihres Browsers, die wir beim Start der Kasse festhalten; für ihre Speicherdauer gilt das oben zu den Kauf-Ereignissen Gesagte. Google führt diese Meldung über die Bestellnummer mit der Meldung aus dem Browser zusammen und zählt den Kauf nur einmal. Google verwendet die Angaben, um den Kauf einem Nutzerkonto und einer Anzeige zuzuordnen, und kann sie an Google LLC in den USA übermitteln (siehe Abschnitt 3). Wird ein Kauf ganz oder teilweise erstattet, übermitteln wir Google Ads mit derselben Einwilligung außerdem die Bestellnummer, den Zeitpunkt der Erstattung und den berichtigten Betrag samt Währung von unserem Server aus („Google Ads API“) oder stellen dieselben Angaben Google Ads zum Abruf bereit; Google nimmt die gemeldete Conversion damit zurück oder berichtigt ihren Wert. Ohne Ihre Einwilligung in „Google Ads“ beim Start der Kasse findet weder diese Übermittlung noch die Berichtigung statt.

Über dasselbe Google-Tag messen wir mit Ihrer Einwilligung außerdem die Reichweite unseres Angebots mit „Google Analytics 4“ von Google Ireland Ltd. Zweck ist die statistische Auswertung der Nutzung: wie viele Personen unsere Seiten aufrufen, welche Seiten aufgerufen werden, über welchen Weg Besucher zu uns kommen und an welcher Stelle sie unsere Seiten wieder verlassen. Daraus verbessern wir Aufbau und Inhalte unserer Seiten. Außerdem bilden wir aus diesen Daten Zielgruppen — etwa Besucher, die eine Kursseite angesehen, aber nicht gekauft haben — und stellen sie unserem verknüpften Google-Ads-Konto zur Verfügung, um diesen Personen bei Google Werbung für unsere Kurse zu zeigen. Dafür kann Google ein Werbe-Cookie auf der Domain doubleclick.net setzen (siehe 4.3). Erhoben werden dabei die aufgerufenen Seiten und Zeitpunkte, der Verweis auf die vorherige Seite, ob eine Seite bis zum Ende gelesen wurde, die in unserem Kurskatalog eingegebenen Suchbegriffe, Angaben zu Browser, Gerät und Spracheinstellung, ein ungefährer Standort auf Ebene von Land und Region sowie eine pseudonyme Kennung aus dem unter 4.3 genannten Cookie. Außerdem melden wir einzelne Handlungen auf unseren Seiten an Google Analytics: dass ein Kurs oder Paket angesehen, in den Warenkorb oder auf die Merkliste gelegt wurde, dass eine Registrierung abgeschlossen wurde, dass ein kostenloser Kurs oder die Gratis-Probe eines Kurses begonnen wurde und dass ein Kurs über einen Gutschein kostenlos freigeschaltet wurde — jeweils mit der Kennung und, soweit vorhanden, dem Titel und Preis des Kurses oder Pakets, aber ohne Kontaktdaten. Ihre IP-Adresse wird dabei an Google übermittelt, für die Standortbestimmung ausgewertet und von Google Analytics nicht gespeichert. Wir verwenden weder „Google Signals“ noch eine Zusammenführung mit Google-Konten. Ihre bei uns hinterlegten Bestandsdaten — Name, E-Mail-Adresse, Rechnungsdaten — übermitteln wir nicht an Google Analytics. Die auf Nutzer- und Ereignisebene erhobenen Daten löscht Google nach der in unserem Konto eingestellten Aufbewahrungsdauer; aggregierte Berichtsdaten bleiben darüber hinaus bestehen. Für die Reichweitenmessung gilt eine eigene Einwilligung (Dienst „Google Analytics“ in der Kategorie „Statistik“): Vor Ihrer Entscheidung wird nichts geladen und nichts übertragen, und ein Widerruf über „Cookie-Einstellungen“ am Seitenende beendet diese Messung. Die Signale für Werbung — Voraussetzung für die Zielgruppen und das Werbe-Cookie auf doubleclick.net — stehen dabei nur auf „erlaubt“, wenn Sie zusätzlich „Google Ads“ zugestimmt haben.

Mit Ihrer Einwilligung binden wir außerdem den „Meta-Pixel“ von Meta Platforms Ireland Ltd., 4 Grand Canal Square, Dublin 2, Irland, in unsere Seiten ein. Zweck ist die Messung und Aussteuerung unserer Werbung auf Facebook und Instagram: Wir erkennen, welche Anzeigen zu Besuchen führen, und können Personen erneut ansprechen, die sich ein Angebot angesehen haben.

Dabei verarbeitet Meta Angaben zu Ihrer Nutzung — die aufgerufene Seite und ihre Inhalte einschließlich des Seitentitels, die zuvor besuchte Seite, Angaben zu Browser und Gerät einschließlich Bildschirmmaßen und Spracheinstellung, Ihre IP-Adresse sowie die unter 4.3 genannten Cookies — und Angaben, die Sie selbst in ein Formular auf unseren Seiten eintragen, ausschließlich in verschlüsselter Form (Hashwert). Sind Sie in Ihrem Konto angemeldet, wird dabei zusätzlich Ihre E-Mail-Adresse aus dem Konto übermittelt, ebenfalls ausschließlich als Hashwert und bereits beim Aufruf einer Seite; ohne Anmeldung unterbleibt das. Meta nutzt diese Werte, um Besuche der richtigen Person zuzuordnen und Werbung auszusteuern. Gemeldet werden außerdem einzelne Handlungen auf unseren Seiten: dass ein Kurs in den Warenkorb oder auf die Merkliste gelegt wurde, dass eine Registrierung abgeschlossen wurde, dass ein kostenloser Kurs oder die Gratis-Probe eines Kurses begonnen wurde und dass ein Kurs über einen Gutschein kostenlos freigeschaltet wurde — soweit vorhanden mit der Kennung und dem Preis des betroffenen Kurses. Zusätzlich erfasst der Pixel von sich aus Klicks auf Schaltflächen und Links mit deren Beschriftung sowie den Aufbau der Seite und ihrer Formulare, etwa Feldbezeichnungen und Platzhaltertexte — nicht aber Ihre Eingaben; diese gehen nur wie oben beschrieben als Hashwert mit. Käufe meldet der Pixel nicht; die Kauf-Meldung erfolgt ausschließlich serverseitig wie oben beschrieben. Meta erhält die Ereignisse des Pixels zusätzlich über eine eigene serverseitige Weiterleitung, die von Meta betrieben wird und auf Servern in den USA läuft. Auf Seiten, deren Adresse eine persönliche Kennung enthalten kann — etwa der Zugangslink aus einer E-Mail, die Bestätigungsseite nach einer Zahlung oder die öffentliche Prüfseite eines Zertifikats — wird der Pixel gar nicht erst geladen; wechseln Sie während eines Besuchs auf eine solche Seite, stellt er die Übertragung für den Rest des Besuchs ein. Für den Pixel gilt eine eigene Einwilligung (Dienst „Meta-Pixel“ in der Kategorie „Marketing“): Vor Ihrer Entscheidung wird nichts geladen und nichts übertragen, und ein Widerruf über „Cookie-Einstellungen“ am Seitenende beendet die Übertragung. Meta ist für die Verarbeitung Ihrer Daten nach eigenen Angaben gemeinsam mit uns verantwortlich, soweit es sie zu eigenen Zwecken auswertet; Einzelheiten und die Datenschutzerklärung von Meta finden Sie unter facebook.com/privacy/policy.

Mit Ihrer Einwilligung binden wir außerdem den „TikTok-Pixel“ von TikTok Technology Limited, 10 Earlsfort Terrace, Dublin 2, Irland, in unsere Seiten ein. Zweck ist die Messung und Aussteuerung unserer Werbung auf TikTok: Wir erkennen, welche Anzeigen zu Besuchen führen, und können Personen erneut ansprechen, die sich ein Angebot angesehen haben. Dabei verarbeitet TikTok Angaben zu Ihrer Nutzung — die aufgerufene Seite, die zuvor besuchte Seite, Angaben zu Browser und Gerät, Ihre IP-Adresse sowie die unter 4.3 genannten Cookies. Sind Sie in Ihrem Konto angemeldet, wird zusätzlich Ihre E-Mail-Adresse aus dem Konto übermittelt, ausschließlich als Hashwert und bereits beim Aufruf einer Seite; ohne Anmeldung unterbleibt das. Gemeldet werden dieselben Handlungen wie beim Meta-Pixel: angesehene Kurse und Pakete, Warenkorb, Merkliste, abgeschlossene Registrierung, Gratis-Probe, kostenloser Kurs und eingelöster Gutschein — soweit vorhanden mit Kennung und Preis des betroffenen Kurses. Käufe meldet der Pixel nicht; die Kauf-Meldung erfolgt ausschließlich serverseitig wie oben beschrieben. Auf Seiten, deren Adresse eine persönliche Kennung enthalten kann, wird der Pixel wie der Meta-Pixel gar nicht erst geladen. Für den Pixel gilt eine eigene Einwilligung (Dienst „TikTok-Pixel“ in der Kategorie „Marketing“): Vor Ihrer Entscheidung wird nichts geladen und nichts übertragen, und ein Widerruf über „Cookie-Einstellungen“ am Seitenende beendet die Übertragung. TikTok verarbeitet die Daten auch auf Servern außerhalb der EU (siehe Abschnitt 3); Einzelheiten und die Datenschutzerklärung von TikTok finden Sie unter tiktok.com/legal/page/eea/privacy-policy.

4.5 Nutzerkonto und Anmeldung

Ein Konto entsteht auf zwei Wegen: Sie registrieren sich, oder Sie kaufen ohne Konto. Beim Kauf ohne Konto legen wir Ihr Konto aus den Angaben an, die Sie auf der Zahlungsseite von Stripe machen. Name und E-Mail-Adresse werden Ihre Kontodaten, eine angegebene Rechnungsanschrift speichern wir beim Kauf (siehe 4.12). Ist Ihre E-Mail-Adresse schon einem Konto zugeordnet, ordnen wir den Kauf diesem Konto zu; angemeldet wird dabei niemand.

Für ein Konto verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen, Ihr Geburtsdatum (zur Prüfung des Mindestalters) und Ihr Passwort als Hash, sofern Sie eines festgelegt haben, dazu Ihre Kontoeinstellungen und Ihr Profilbild, soweit Sie eines hinterlegen. Vorname, Nachname und Geburtsdatum fragen wir spätestens vor Ihrem ersten Kursstart ab; ohne diese Angaben lässt sich kein Kurs starten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Daten werden gelöscht, wenn Sie Ihr Konto löschen — vorbehaltlich gesetzlicher Aufbewahrungspflichten (siehe 4.12).

Anmelden können Sie sich über einen Link, den wir Ihnen per E-Mail schicken, oder mit Ihrem Passwort, sofern Sie eines festgelegt haben. Fordern Sie den Link an, setzen wir in Ihrem Browser das Cookie „Anmelde-Nachweis“ (b24_login, siehe 4.3). Öffnen Sie den Link in diesem Browser, melden wir Sie direkt an. In einem anderen Browser zeigen wir stattdessen einen Code, den Sie im ersten Browser eingeben. Link und Code gelten nur kurz und zusammen nur einmal. Direkt nach einem Kauf ohne Konto melden wir Sie auf der Bestätigungsseite einmalig automatisch an. Dafür prüfen wir bei Stripe die Kennung des Kaufvorgangs, die Stripe beim Rücksprung auf unsere Seite mitgibt, und setzen das Cookie „Kassen-Nachweis“ (b24_kasse, siehe 4.3). Diese Anmeldung gibt es nur einmal und nur für ein Konto, das gerade aus diesem Kauf entstanden ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

4.6 Abgebrochene Registrierung

Brechen Sie die Registrierung nach Eingabe Ihrer E-Mail-Adresse ab, speichern wir die bis dahin eingegebenen Angaben zwischen, damit Sie später fortsetzen können, und erinnern Sie gegebenenfalls einmalig per E-Mail an den offenen Vorgang. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage hin). Diese Zwischenstände löschen wir spätestens nach 30 Tagen. Sie können der Erinnerung jederzeit widersprechen; ein Link dazu steht in jeder Nachricht.

4.7 Anmelde-Protokoll

Zu jeder Anmeldung speichern wir Zeitpunkt, IP-Adresse und Geräteangaben Ihres Browsers. Das dient der Erkennung unbefugter Zugriffe und Ihrer eigenen Kontrolle — Sie sehen die Übersicht in Ihren Kontoeinstellungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Sicherheit von Konten und Systemen).

4.8 Kursnutzung und Lernfortschritt

Bei der Nutzung eines Kurses verarbeiten wir Ihren Lernfortschritt, bearbeitete Lektionen, Quiz- und Prüfungsantworten samt Ergebnissen, Lernzeiten und daraus abgeleitete Kennzahlen. Diese Daten sind erforderlich, um Ihnen den Kurs bereitzustellen, den Fortschritt zu sichern und den Schwierigkeitsgrad an Ihren Kenntnisstand anzupassen (Art. 6 Abs. 1 lit. b DSGVO).

Die Anpassung des Schwierigkeitsgrads und die Auswahl von Wiederholungsaufgaben erfolgen automatisiert. Sie dienen ausschließlich der didaktischen Steuerung und entfalten Ihnen gegenüber keine rechtliche Wirkung; eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO findet nicht statt.

4.9 KI-Lern-Tutor

Stellen Sie dem Lern-Tutor eine Frage, übermitteln wir Ihre Eingabe gemeinsam mit dem Kontext der jeweiligen Lektion an einen KI-Dienstleister, der die Antwort erzeugt. Eingesetzt werden:

• Anthropic PBC, 548 Market Street, San Francisco, CA 94104, USA
• OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland (Verarbeitung auch in den USA)

Mit beiden Anbietern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Die Anbieter verwenden die übermittelten Inhalte nicht zum Training ihrer Modelle. Zur Drittlandübermittlung siehe Abschnitt 3.

Ihre Fragen und die erzeugten Antworten speichern wir Ihrem Konto zugeordnet, damit Sie den Verlauf einsehen können und wir die Qualität sowie die Kosten des Tutors auswerten können (Art. 6 Abs. 1 lit. b und lit. f DSGVO). Bitte geben Sie in den Tutor keine besonderen Kategorien personenbezogener Daten, keine Daten Dritter und keine vertraulichen Informationen ein.

4.10 Teilnahmebescheinigungen und Verifikation

Nach Abschluss eines Kurses erstellen wir eine Teilnahmebescheinigung mit Ihrem Namen, dem Kurstitel und dem Ausstellungsdatum (Art. 6 Abs. 1 lit. b DSGVO). Zu jeder Bescheinigung gehört ein Verifikationslink mit einer zufälligen, nicht erratbaren Kennung. Wer diesen Link kennt, kann die genannten Angaben einsehen — das ist der Zweck der Echtheitsprüfung. Ob Sie den Link weitergeben, entscheiden Sie. Die Verifikationsseite ist von der Indexierung durch Suchmaschinen ausgenommen.

4.11 Bewertungen und Rangliste

Veröffentlichen Sie eine Kursbewertung, erscheinen Ihr Name in gekürzter Form — Ihre Vornamen und der erste Buchstabe Ihres Nachnamens —, Ihre Bewertung und Ihr Bewertungstext öffentlich auf der jeweiligen Kursseite (Art. 6 Abs. 1 lit. b DSGVO, Durchführung des von Ihnen gewünschten Veröffentlichungsvorgangs). Wenn Sie das nicht möchten, können Sie den in Ihrem Konto hinterlegten Namen vor dem Veröffentlichen ändern. Sie können Ihre Bewertung jederzeit löschen. Veröffentlichte Bewertungen können gemeldet werden; wie wir Meldungen verarbeiten, steht in 4.18.

In den Ranglisten der Lernstatistik erscheint Ihr Name gekürzt — Ihre Vornamen und der erste Buchstabe Ihres Nachnamens — neben Ihrem Punktestand. Diese Anzeige können Sie in Ihren Kontoeinstellungen jederzeit deaktivieren; Sie werden dann unverzüglich aus allen Ranglisten entfernt.

4.12 Zahlungsabwicklung

Für die Abwicklung von Zahlungen nutzen wir Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Irland (nachfolgend „Stripe“). Bei einem Kauf werden die für die Zahlung erforderlichen Daten (Name, E-Mail, Zahlungsmittel) direkt an Stripe übermittelt; vollständige Kartendaten verarbeitet ausschließlich Stripe und gibt sie nicht an uns weiter. Stripe verarbeitet die Daten zur Zahlungsabwicklung und zur Betrugsprävention. Einzelheiten finden Sie unter stripe.com/de/privacy. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Kaufen Sie ohne Konto, geben Sie Name und E-Mail-Adresse direkt auf der Zahlungsseite von Stripe ein, dazu die Rechnungsanschrift, soweit die Zahlungsseite sie abfragt. Nach der Zahlung übermittelt Stripe uns diese Angaben. Mit Name und E-Mail-Adresse legen wir Ihr Konto an (siehe 4.5). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Welche Daten Stripe an uns zurückspielt und wir speichern: Nach erfolgreicher Zahlung übermittelt Stripe uns Käufer- und Transaktionsdaten, die wir zur Auftragsabwicklung, Buchführung (Aufbewahrungsfristen gemäß § 257 HGB / § 147 AO bis zu 10 Jahre) und Reklamationsbearbeitung speichern: Rechnungsempfänger (Name, E-Mail, ggf. Telefonnummer und Rechnungsadresse, soweit im Stripe-Checkout angegeben), Art und kompakte Kennzeichnung des Zahlungsmittels (z. B. „Visa endend auf 4242“, ggf. Wallet wie Apple Pay/Google Pay), Ausgabeland und Finanzierungstyp der Karte, Stripe-Belegnummern und -Kennungen, Brutto- und Nettobetrag, die an Stripe gezahlte Bearbeitungsgebühr, die Risikoeinschätzung der Betrugsprävention von Stripe sowie gegebenenfalls Angaben zu Erstattungen und Rückbuchungen. Vollständige Kartennummern, Prüfziffern und Bankverbindungsdaten erhalten wir ausdrücklich nicht.

Bei einer Löschung Ihres Kontos anonymisieren wir die personenbezogenen Felder dieser Datensätze (Name, E-Mail, Telefon, Rechnungsadresse). Beträge, Kennungen, Belegnummern und Zeitstempel bleiben für die Dauer der gesetzlichen Aufbewahrungspflicht erhalten und werden anschließend gelöscht.

4.13 E-Mail-Versand

Für den Versand unserer E-Mails nutzen wir Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA, als Auftragsverarbeiter (Art. 28 DSGVO; zur Drittlandübermittlung siehe Abschnitt 3). Wir unterscheiden:

• Vertrags- und Sicherheitsnachrichten (Bestätigung der Registrierung, Bestell- und Zahlungsbestätigung samt Hinweis zum Zugang nach einem Kauf ohne Konto, Anmelde-Links, Passwortänderung, Hinweise auf auffällige Anmeldungen) — Art. 6 Abs. 1 lit. b DSGVO. Diese Nachrichten sind nicht abbestellbar, solange Sie ein Konto haben.
• Lern-Erinnerungen und Produktempfehlungen (Erinnerung an offene Kurse, Hinweise auf passende Kurse) — Sie können sie in Ihren Kontoeinstellungen und über den Abmeldelink in jeder Nachricht jederzeit abbestellen.
• Newsletter — nur nach ausdrücklicher Einwilligung, siehe 4.14.

Zu jeder versendeten Nachricht speichern wir Empfänger, Kategorie, Zeitpunkt und Zustellstatus, um Doppelversand zu vermeiden, Versandhäufigkeiten zu begrenzen und auf Zustellprobleme reagieren zu können (Art. 6 Abs. 1 lit. f DSGVO). Meldet uns der Versanddienstleister eine dauerhaft unzustellbare Adresse oder eine Spam-Beschwerde, stellen wir den Versand an diese Adresse ein.

4.14 Newsletter

Für den Newsletter verwenden wir das Double-Opt-in-Verfahren: Nach Ihrer Anmeldung erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst nach dessen Aufruf nehmen wir Sie in den Verteiler auf. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Wir speichern Anmelde- und Bestätigungszeitpunkt, um die Einwilligung nachweisen zu können.

Sie können den Newsletter jederzeit über den Abmeldelink in jeder Ausgabe oder in Ihren Kontoeinstellungen abbestellen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

4.15 Kontaktaufnahme und Kurswünsche

Wenn Sie uns über das Kontaktformular, per E-Mail oder telefonisch erreichen, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage und für den Fall von Anschlussfragen (Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO). Gleiches gilt, wenn Sie uns einen Kurswunsch übermitteln.

Eingehende und ausgehende Nachrichten speichern wir in unserem Postfach als Geschäftskorrespondenz und löschen sie nach 24 Monaten, sofern keine gesetzliche Aufbewahrungspflicht besteht.

Eingehende Anfragen per E-Mail und über das Kontaktformular lassen wir durch einen KI-Dienst vorsortieren und einen Antwortentwurf erstellen. Dazu übermitteln wir den Text Ihrer Nachricht, den bisherigen Verlauf des Gesprächs und, wenn Ihre Adresse einem Kundenkonto zugeordnet ist, Ihren Namen, das Datum Ihrer Registrierung sowie Ihre jüngsten Kurseinschreibungen und Zahlungen an die in Abschnitt 4.9 genannten Anbieter (Anthropic PBC, ersatzweise OpenAI Ireland Ltd.). Mit beiden bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO; die Anbieter verwenden die Inhalte nicht zum Training ihrer Modelle. Zur Drittlandübermittlung siehe Abschnitt 3.

Jeden Entwurf prüfen wir, bevor er an Sie geht; Antworten, die mit KI-Unterstützung entstanden sind, kennzeichnen wir als solche. Über Zahlungen, Erstattungen, Widerruf, Datenschutz und Beschwerden entscheidet stets ein Mensch; eine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (zügige und einheitliche Bearbeitung von Anfragen).

4.16 Spam-Schutz der Formulare

Unsere öffentlichen Formulare — Kontakt, Kurswunsch, Newsletter-Anmeldung und der erste Schritt der Registrierung — sind durch den Dienst „Turnstile“ von Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, gegen automatisierten Missbrauch geschützt. Der Dienst prüft, ob die Eingabe von einem Menschen stammt, und ersetzt damit ein herkömmliches Bilderrätsel.

Dazu lädt Ihr Browser ein Programm von einem Server von Cloudflare nach und übermittelt dabei Ihre IP-Adresse sowie Angaben zu Browser, Gerät und Ihrem Verhalten auf der Seite. Cloudflare kann diese Angaben in Ihrem Browser speichern, um wiederkehrende Prüfungen zu vermeiden. Das Programm wird bereits beim Aufruf der Seite geladen, nicht erst beim Absenden des Formulars — Cloudflare erhält Ihre IP-Adresse also auch dann, wenn Sie das Formular am Ende gar nicht absenden. Betroffen sind die Seiten „Kontakt“, „Kurswunsch“ und „Newsletter“ sowie das Newsletter-Fenster, das sich auf der Startseite nach kurzer Zeit von selbst öffnet und das Sie auf jeder Seite über den Verweis am Seitenende aufrufen können. Auf den Kursseiten kommt das Meldeformular hinzu, das Sie über den Melden-Verweis an einer Bewertung öffnen können; dort wird das Programm erst mit dem Öffnen des Formulars geladen und nicht schon beim Aufruf der Seite. Beim Absenden eines Formulars übermitteln wir das Prüfergebnis zusätzlich von unserem Server aus an Cloudflare, um es zu bestätigen.

Rechtsgrundlage ist unser berechtigtes Interesse daran, unsere Formulare und Postfächer vor Massenzuschriften durch Programme zu schützen und den Betrieb sicher zu halten (Art. 6 Abs. 1 lit. f DSGVO). Es besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Der Dienst dient ausschließlich der Missbrauchserkennung; eine Auswertung zu Werbezwecken oder eine Zusammenführung mit anderen Daten findet nicht statt. Zur Drittlandübermittlung siehe Abschnitt 3.

4.17 Fehler- und Leistungserfassung

Zur Stabilität des Angebots erfassen wir technische Fehlerberichte (Fehlermeldung, betroffene Adresse, Zeitpunkt, gegebenenfalls Nutzerkennung) sowie anonyme Messwerte zur Ladegeschwindigkeit (Art. 6 Abs. 1 lit. f DSGVO). Um zu erkennen, ob unsere Seiten verständlich aufgebaut sind, messen wir außerdem je Seitenaufruf in groben Stufen, wie weit gescrollt wurde, wie lange die Seite im Bild war, ob etwas angetippt wurde, ob ein Kauf-Knopf zu sehen war und ob der Cookie-Hinweis noch offen stand. Diese Nutzungsmesswerte entstehen ohne Cookies und ohne Kennung; sie lassen sich weder einer Person noch einem weiteren Seitenaufruf zuordnen (Art. 6 Abs. 1 lit. f DSGVO). Fehlerberichte löschen wir nach 30 Tagen, Leistungsmesswerte nach 90 Tagen, Nutzungsmesswerte nach 90 Tagen. Ein externer Dienstleister ist hierfür nicht eingebunden; die Daten bleiben auf unseren Servern.

Kommt ein Besuch über eine unserer Werbeanzeigen (erkennbar an Angaben in der aufgerufenen Adresse), zählen wir ihn in einer Tagessumme je Werbekanal. Dabei speichern wir weder IP-Adresse noch Cookie noch eine andere Kennung; die Zahl lässt sich keiner Person zuordnen. Wir nutzen sie, um Fehlklicks bei Anzeigen zu erkennen (Art. 6 Abs. 1 lit. f DSGVO).

4.18 Meldungen zu Bewertungen

An jeder veröffentlichten Bewertung steht ein Melde-Knopf, über den jede Person Inhalte melden kann, die sie für rechtswidrig hält (Art. 16 DSA). Ein Nutzerkonto ist dafür nicht erforderlich. Wir verarbeiten die von Ihnen gemachten Angaben — Name, E-Mail-Adresse, den gewählten Meldegrund, Ihre Begründung im Freitext und Ihre Bestätigung, in gutem Glauben von der Richtigkeit Ihrer Angaben überzeugt zu sein — sowie die gemeldete Bewertung. Zusätzlich speichern wir Ihre gekürzte IP-Adresse, um die Zahl der Meldungen je Stunde zu begrenzen. Sind Sie angemeldet, vermerken wir die Meldung zusätzlich an Ihrem Konto.

Zweck ist die Bearbeitung und die Dokumentation der Meldung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 DSA (Erfüllung einer rechtlichen Verpflichtung), für die gekürzte IP-Adresse Art. 6 Abs. 1 lit. f DSGVO (Abwehr missbräuchlicher Massenmeldungen).

An Ihre E-Mail-Adresse bestätigen wir den Eingang und teilen Ihnen anschließend die Entscheidung mit Begründung mit. Entfernen oder sperren wir eine Bewertung, erhält die Person, die sie verfasst hat, eine Begründung nach Art. 17 DSA. Diese nennt den Meldegrund und unsere Entscheidung — Ihren Namen und Ihre E-Mail-Adresse geben wir dabei nicht weiter.

Meldung und Entscheidung bewahren wir als Nachweis des Verfahrens auf und löschen sie, wenn sie hierfür und zur Verteidigung von Rechtsansprüchen nicht mehr erforderlich sind. Den Ablauf des Verfahrens regelt § 13 unserer AGB.

4.19 Empfehlungsprogramm

Angemeldete Nutzer erhalten in ihrem Konto einen persönlichen Empfehlungslink. Wer diesem Link folgt, bekommt bei der Registrierung oder beim Kauf ohne Konto 20 % Rabatt auf den ersten Kauf; die empfehlende Person erhält einen Gutschein, sobald dieser Kauf 14 Tage bestanden hat und nicht erstattet wurde.

Beim Klick auf einen Empfehlungslink speichern wir den Empfehlungscode in dem unter 4.3 genannten Cookie b24_ref. Registrieren Sie sich innerhalb der Laufzeit oder entsteht Ihr Konto in dieser Zeit aus einem Kauf ohne Konto (siehe 4.5), halten wir die Zuordnung zwischen Ihrem Konto und dem Konto der empfehlenden Person fest, dazu den Zeitpunkt, den Stand der Belohnung und den Kauf, der sie ausgelöst hat. Zweck ist die Durchführung des Programms — ohne diese Zuordnung ließe sich weder Ihr Rabatt noch der Gutschein der empfehlenden Person gewähren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung einer von Ihnen gewünschten Funktion), für die Prüfung auf Missbrauch Art. 6 Abs. 1 lit. f DSGVO.

Der empfehlenden Person zeigen wir nur die Anzahl der geworbenen und der belohnten Registrierungen — nicht, wer sich registriert hat, und keine Kaufdaten. Die Zuordnung löschen wir, wenn sie zur Abwicklung des Programms und zur Verteidigung von Rechtsansprüchen nicht mehr erforderlich ist. Die Teilnahmebedingungen regelt § 16 unserer AGB.

5. Empfänger Ihrer Daten

Über die genannten Fälle hinaus geben wir Ihre Daten nicht an Dritte weiter. Eingebunden sind derzeit folgende Auftragsverarbeiter und Empfänger:

• Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern — Betrieb von Anwendung und Datenbank
• Stripe Payments Europe Ltd., Dublin, Irland — Zahlungsabwicklung
• Plus Five Five, Inc. (Resend), San Francisco, USA — E-Mail-Versand
• Anthropic PBC, San Francisco, USA — KI-Lern-Tutor und Vorsortierung von Kundenanfragen
• OpenAI Ireland Ltd., Dublin, Irland — KI-Lern-Tutor und Vorsortierung von Kundenanfragen (Ersatzanbieter)
• Meta Platforms Ireland Ltd., Dublin, Irland (Konzernmutter Meta Platforms, Inc., USA) — Kampagnen-Messung über den Meta-Pixel im Browser (Seitenaufrufe, angesehene Kurse und Pakete sowie einzelne Handlungen wie Warenkorb, Merkliste, Registrierung, kostenlose Kurse und Gratis-Proben), dessen Ereignisse Meta zusätzlich über eine eigene serverseitige Weiterleitung in den USA empfängt, sowie serverseitige Kauf-Ereignisse (Conversions API), ausschließlich mit Ihrer Einwilligung
• TikTok Technology Limited, Dublin, Irland (Konzern ByteDance, Verarbeitung auch außerhalb der EU) — Kampagnen-Messung über den TikTok-Pixel im Browser (Seitenaufrufe, angesehene Kurse und Pakete sowie einzelne Handlungen wie Warenkorb, Merkliste, Registrierung, kostenlose Kurse und Gratis-Proben) sowie serverseitige Kauf-Ereignisse (Events API), ausschließlich mit Ihrer Einwilligung
• Google Ireland Ltd., Dublin, Irland (Konzernmutter Google LLC, USA) — Google Ads Conversion-Messung über das Google-Tag im Browser, serverseitige Kauf-Meldungen (Data Manager API) und Berichtigungen bei Erstattungen (Google Ads API, ersatzweise eine Datei, die Google Ads bei uns abruft) sowie Google Analytics 4 (Reichweitenmessung im Browser und serverseitige Kauf-Ereignisse), ausschließlich mit Ihrer Einwilligung
• Cloudflare, Inc., San Francisco, USA — Spam-Schutz unserer Formulare
• GoDaddy.com, LLC, Tempe, Arizona, USA — Registrierung unserer Domains und Weiterleitung der Ausweich-Adressen (bilden24.de, .net, .info, .store, .shop, .pro) auf bilden24.com; dabei wird die IP-Adresse des aufrufenden Geräts verarbeitet
• Steuerberatung und Behörden, soweit gesetzlich vorgeschrieben

6. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Sofern oben keine speziellere Frist genannt ist, gilt:

• Konto- und Lerndaten — bis zur Löschung Ihres Kontos
• Zahlungs- und Buchungsdaten — 10 Jahre (§ 257 HGB, § 147 AO)
• Geschäftskorrespondenz — 24 Monate, soweit keine längere Aufbewahrungspflicht gilt
• Einwilligungsnachweise — für die Dauer der Einwilligung und drei Jahre darüber hinaus zur Nachweisführung

Um Ihre Cookie-Entscheidung nachweisen zu können, speichern wir bei jeder Entscheidung auf unserem Server die zufällige Kennung aus dem Cookie b24_consent (siehe 4.3), die Fassung des Cookie-Hinweises, Ihre Auswahl je Dienst und den Zeitpunkt. Eine IP-Adresse, Angaben zu Ihrem Browser oder einen Bezug zu Ihrem Konto speichern wir dabei nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO. Wir löschen diese Angaben 1461 Tage nach ihrem Eingang, also nach der Laufzeit des Cookies und drei weiteren Jahren.

7. Erforderlichkeit der Bereitstellung

Die Angabe personenbezogener Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne die auf der Zahlungsseite abgefragten Angaben können wir jedoch keinen Kauf mit Ihnen abwickeln. Ohne Vorname, Nachname und Geburtsdatum können Sie keinen Kurs starten.

8. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, sobald sich unsere Verarbeitung oder die Rechtslage ändert. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung. Bei wesentlichen Änderungen informieren wir angemeldete Nutzerinnen und Nutzer zusätzlich per E-Mail.

Fragen zum Datenschutz beantworten wir unter kontakt@bilden24.com. Verantwortlich ist bilden24.

Stand: 19. September 2026 · Fassung 1.3